在使用腾讯云容器服务(Tencent Kubernetes Engines,TKE)的过程中,为了能够使用相关云资源,会遇到多种需要进行服务授权的场景。每种场景通常对应不同的角色所包含的预设策略,其中主要涉及到
TKE_QCSRole
和 IPAMDofTKE_QCSRole
两个角色。本文档接下来将分角色展示各个授权策略的详情、授权场景及授权步骤。说明
TKE_QCSRole 角色
开通容器服务后,腾讯云会授予您的账户
TKE_QCSRole
角色的权限。该容器服务角色默认关联多个预设策略,为获取相关权限,需在特定的授权场景下执行对应的预设策略授权操作。操作完成之后,对应策略会出现在该角色的已授权策略列表中。TKE_QCSRole
角色关联的预设策略包含如下:默认关联预设策略
QcloudAccessForTKERole
:容器服务对云资源的访问权限。QcloudAccessForTKERoleInOpsManagement
:日志服务等运维管理。其他关联预设策略
QcloudAccessForTKERoleInCreatingCFSStorageclass
:容器服务操作文件存储(CFS)权限,包含增删查文件存储文件系统、查询文件系统挂载点等。QcloudCVMFinanceAccess
:云服务器财务权限。预设策略 QcloudAccessForTKERole
授权场景
授权步骤
1. 登录 容器服务控制台,选择左侧导航栏中的集群,弹出服务授权窗口。
2. 单击前往访问管理,进入角色管理页面。
3. 单击同意授权,完成身份验证后即可成功授权。如下图所示:
权限内容
云服务器相关
权限名称 | 权限说明 |
cvm:DescribeInstances | 查询服务器实例列表 |
cvm:*Cbs* | 云硬盘相关权限 |
标签相关
权限名称 | 权限说明 |
tag:* | 标签相关所有功能 |
负载均衡相关
权限名称 | 权限说明 |
clb:* | 负载均衡相关所有功能 |
容器服务相关
权限名称 | 权限说明 |
ccs:DescribeCluster | 查询集群列表 |
ccs:DescribeClusterInstances | 查询集群节点信息 |
预设策略 QcloudAccessForTKERoleInOpsManagement
授权场景
该策略默认关联
TKE_QCSRole
角色,开通容器服务并完成 TKE_QCSRole
角色授权后,即可获得包含日志在内的各种运维相关功能的权限。授权步骤
权限内容
日志服务相关
权限名称 | 权限说明 |
cls:listTopic | 列出指定日志集下的日志主题列表 |
cls:getTopic | 查看日志主题信息 |
cls:createTopic | 创建日志主题 |
cls:modifyTopic | 修改日志主题 |
cls:deleteTopic | 删除日志主题 |
cls:listLogset | 列出日志集列表 |
cls:getLogset | 查看日志集信息 |
cls:createLogset | 创建日志集 |
cls:modifyLogset | 修改日志集 |
cls:deleteLogset | 删除日志集 |
cls:listMachineGroup | 列出机器组列表 |
cls:getMachineGroup | 查看机器组信息 |
cls:createMachineGroup | 创建机器组 |
cls:modifyMachineGroup | 修改机器组 |
cls:deleteMachineGroup | 删除机器组 |
cls:getMachineStatus | 查看机器组状态 |
cls:pushLog | 上传日志 |
cls:searchLog | 查询日志 |
cls:downloadLog | 下载日志 |
cls:getCursor | 根据时间获取游标 |
cls:getIndex | 查看索引 |
cls:modifyIndex | 修改索引 |
cls:agentHeartBeat | 心跳 |
cls:getConfig | 获取推流器配置信息 |
预设策略 QcloudAccessForTKERoleInCreatingCFSStorageclass
授权场景
使用腾讯云文件存储(CFS)扩展组件,能够帮助您在容器集群中使用文件存储。首次使用该插件时,需通过容器服务进行文件存储中文件系统等相关资源的授权操作。
授权步骤
1. 登录 容器服务控制台,单击左侧导航栏中集群。
2. 在“集群管理”页面中,选择地域及集群后,进入“集群详情”页。
3. 在“集群详情”页的左侧导航栏中选择组件管理,单击新建。
4. 在“组件管理”页面中,当扩展组件首次选择为 “CFS 腾讯云文件存储” 时,单击页面下方的服务授权。如下图所示:
5. 在弹出的“服务授权”窗口中,单击访问管理。
6. 在“角色管理”页面中,单击同意授权并完成身份验证即可成功授权。
权限内容
文件存储相关
权限名称 | 权限说明 |
cfs:CreateCfsFileSystem | 创建文件系统 |
cfs:DescribeCfsFileSystems | 查询文件系统 |
cfs:DescribeMountTargets | 查询文件系统挂载点 |
cfs:DeleteCfsFileSystem | 删除文件系统 |
预设策略 QcloudCVMFinanceAccess
授权场景
当您需要购买包年包月云硬盘时,需要为角色
TKE_QCSRole
添加该策略以配置支付权限,否则可能会因为没有支付权限导致创建基于包年包月 storageclass 的 PVC 失败。授权步骤
1. 登录访问管理控制台,选择左侧导航栏的 角色。
2. 在“角色”列表页面中,单击 TKE_QCSRole 进入该角色管理页面。
3. 选择 “TKE_QCSRole” 页面中的关联策略,并在弹出的“风险提醒”窗口中进行确认。
4. 在弹出的“关联策略”窗口中,找到
QcloudCVMFinanceAccess
策略并勾选。如下图所示:
5. 单击确定即可完成授权。
权限内容
权限名称 | 权限说明 |
finance:* | 云服务器财务权限 |
IPAMDofTKE_QCSRole 角色
IPAMDofTKE_QCSRole
角色为容器服务的 IPAMD 支持服务角色。被授予该角色的权限后,在本文描述的授权场景下需进行预设策略关联操作。完成操作后,以下策略会出现在该角色的已授权策略列表中:QcloudAccessForIPAMDofTKERole
:容器服务 IPAMD 支持(TKE IPAMD)对云资源的访问权限。预设策略 QcloudAccessForIPAMDofTKERole
授权场景
在首次使用 VPC-CNI 网络模式创建集群时,需要首先对容器服务 IPAMD 支持(TKE IPAMD)对云资源的访问权限进行授权,以便能够正常使用 VPC-CNI 网络模式。
授权步骤
1. 登录 容器服务控制台,单击左侧导航栏中集群。
2. 在“集群管理”页面中,单击集群列表上方的新建或使用模板新建。
3. 在“创建集群”页面的设置“集群信息”步骤,选择“容器网络插件”中的VPC-CNI时,单击服务授权。如下图所示:
4. 在弹出的“服务授权”窗口中,单击前往访问管理。
5. 在“角色管理”页面中,单击同意授权并完成身份验证即可成功授权。
权限内容
云服务器相关
权限名称 | 权限说明 |
cvm:DescribeInstances | 查看实例列表 |
标签相关
权限名称 | 权限说明 |
tag:GetResourcesByTags | 通过标签查询资源列表 |
tag:ModifyResourceTags | 批量修改资源关联的标签 |
tag:GetResourceTagsByResourceIds | 查看资源关联的标签 |
私有网络相关
权限名称 | 权限说明 |
vpc:DescribeSubnet | 查询子网列表 |
vpc:CreateNetworkInterface | 创建弹性网卡 |
vpc:DescribeNetworkInterfaces | 查询弹性网卡列表 |
vpc:AttachNetworkInterface | 弹性网卡绑定云服务器 |
vpc:DetachNetworkInterface | 弹性网卡解绑云服务器 |
vpc:DeleteNetworkInterface | 删除弹性网卡 |
vpc:AssignPrivateIpAddresses | 弹性网卡申请内网 IP |
vpc:UnassignPrivateIpAddresses | 弹性网卡退还内网 IP |
vpc:MigratePrivateIpAddress | 弹性网卡内网 IP 迁移 |
vpc:DescribeSubnetEx | 查询子网列表 |
vpc:DescribeVpcEx | 查询对等连接 |
vpc:DescribeNetworkInterfaceLimit | 查询弹性网卡配额 |
vpc:DescribeVpcPrivateIpAddresses | 查询 VPC 内网 IP 信息 |